अनधिकृत VPN राउटर: डिक्रिप्शन से पहले एडमिशन नियंत्रण

आंतरिक स्विच पोर्ट पर दिखकर तुरंत आउटबाउंड VPN खोलने वाला अनजान राउटर पहले ही सबसे अहम नियंत्रण पार कर चुका है। एडमिशन तय करता है कि डिवाइस को उपयोगी नेटवर्क एक्सेस मिलेगा या नहीं, जबकि डिक्रिप्शन केवल बताता है कि उसके बाद उसने क्या किया। इस क्रम को सही रखने से एक असंभव जाँच समस्या रूटीन पोर्ट-नीति प्रश्न बन जाती है। यह प्रतिवर्ती कार्रवाई और आउटेज के बीच का अंतर भी है।

एडमिशन पोर्ट पर ही तय होता है

यह पूछने से पहले कि टनल क्या ढोती है, पूछें कि डिवाइस को उपयोगी कनेक्टिविटी कैसे मिली। सक्रिय वॉल पोर्ट से जुड़ा राउटर, या खुले SSID से जुड़ा वायरलेस क्लाइंट, उसी नीति से एडमिट हुआ जो वह पोर्ट या SSID लागू करता है। यदि वह नीति "जो भी जुड़ता है उसे काम करने वाला VLAN मिलता है" है, तो VPN लक्षण है, कमज़ोरी नहीं।

DHCP लीज़ कोई प्राधिकरण रिकॉर्ड नहीं है। पता मिलना या न मिलना पता-आवंटन सेवा का वर्णन करता है, पोर्ट की स्थिति का नहीं, और कई डिज़ाइन अनधिप्रमाणित डिवाइस को सहायक सेवा तक पहुँचने देते हैं जबकि बाकी सब अस्वीकार करते हैं। लीज़ तालिका को पता-निर्धारण के साक्ष्य के रूप में लें, विश्वास के नहीं।

इन जाँचों में तीन तरह के साक्ष्य मिल जाते हैं: स्वीकृत व्यक्ति, स्वीकृत प्रबंधित डिवाइस और इन्वेंटरी शीट पर एक प्रविष्टि। पोर्ट नीति में स्पष्ट होना चाहिए कि वह इनमें से किन्हें स्वीकार करती है, क्योंकि चुराए गए क्रेडेंशियल और क्लोन किया गया MAC पता अलग-अलग शर्तें पूरी करते हैं।

प्रमाणित पोर्ट वास्तव में क्या तय करता है

IEEE 802.1X में स्विच या एक्सेस पॉइंट प्रमाणक होता है, और वह अनुरोधकर्ता के क्रेडेंशियल को RADIUS क्लाइंट के रूप में केंद्रीय सेवा को भेजता है। RADIUS 802.1X विशेषताएँ उस परिणाम को पोर्ट प्राधिकृत करने देती हैं और, डिज़ाइन के अनुसार, सत्र को किसी विशेष VLAN या विशेष लेखा संदर्भ में रखती हैं। स्विच नीति सर्वर जो लौटाता है उसे तभी लागू करता है जब पोर्ट उसे लागू करने के लिए कॉन्फ़िगर हो।

इसी अंतिम शर्त पर परिनियोजन चुपचाप विफल होते हैं। निगरानी या लॉगिंग मोड में छोड़ा गया पोर्ट संभावित निर्णय दर्ज करता है और फिर भी ट्रैफ़िक पास करता है, जो हर रिपोर्ट में काम करने वाले परिनियोजन जैसा दिखता है—जब तक कोई अनियंत्रित राउटर न जोड़ दे।

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

जो डिवाइस अनुरोधकर्ता नहीं चला सकते उन्हें अलग निर्णय चाहिए, सामान्य छूट नहीं। MAC प्रमाणीकरण बायपास, पंजीकरण पोर्टल या समर्पित डिवाइस VLAN—सभी वैध उत्तर हैं, पर हर एक को जानबूझकर चुनना और दस्तावेज़ित करना होगा। लिखें कि कौन-से डिवाइस वर्ग वैकल्पिक मार्ग उपयोग कर सकते हैं और कौन उन्हें स्वीकृति देता है। अप्रलेखित वैकल्पिक मार्ग ठीक वैसे ही एक अनियंत्रित राउटर को बिना किसी की स्वीकृति के काम करने वाला VLAN दिला देता है।

डिक्रिप्शन के बिना क्या देख सकते हैं

एन्क्रिप्शन पेलोड छिपाता है, व्यवहार नहीं। स्रोत और गंतव्य पते, पोर्ट, पैकेट का समय, प्रवाह मात्रा और सत्र अवधि उसी सीमा पर दिखाई देते रहते हैं जहाँ आप उन्हें एकत्र करते हैं, और वे मेटाडेटा अक्सर अनजान डिवाइस को पोर्ट और आउटबाउंड गंतव्य से जोड़ने के लिए पर्याप्त होते हैं। जो आप पढ़ नहीं सकते वह टनल के भीतर का एप्लिकेशन है, और कुंजियों के बिना कोई पैकेट कैप्चर इसे नहीं बदलता।

लगातार चलने वाली टनल अपने आप दुर्भावनापूर्ण नहीं होती। साइट-टू-साइट लिंक, बैकअप एजेंट और दूरस्थ प्रशासन उपकरण डिज़ाइन से लगातार चलते हैं, इसलिए रात भर चलने वाला प्रवाह अपने आप में कुछ साबित नहीं करता। इसकी तुलना उस संपत्ति को दी गई भूमिका और उसके सेगमेंट की स्वीकृत आधार-रेखा से करें।

आउटगोइंग ट्रैफ़िक को जानबूझकर सीमित करें। गंतव्य पोर्ट की अनुमति देना उस एप्लिकेशन को स्वीकृति देने के समान नहीं है जो उसका उपयोग करता है, और वर्गीकरणकर्ता का अनुमान प्राधिकरण निर्णय नहीं है। जाँच के लिए आवश्यक मेटाडेटा नामित स्वामी और प्रतिधारण अवधि के साथ एकत्र करें, बजाय इसके कि हर उपयोगकर्ता के सारे ट्रैफ़िक को डिफ़ॉल्ट रूप से कैप्चर किया जाए।

जिस सीमा को आप नियंत्रित करते हैं उसके ज़रिए सीमित करें

कुछ भी अलग करने से पहले पुष्टि करें कि डिवाइस किसका है और कहाँ जुड़ा है। फिर घटना प्रक्रिया से पोर्ट सीमित करें या सत्र रद्द करें, और जब तक साक्ष्य ताज़ा हैं संबंधित लॉग सुरक्षित रखें। स्विच पोर्ट बंद कर फिर चालू किया जा सकता है; चालीस डेस्कों की सेवा करने वाला प्रोडक्शन अपलिंक इतनी आसानी से वापस नहीं लिया जा सकता।

एंडपॉइंट पर प्रतिहमला न करें और केवल इसलिए साझा पोर्ट बंद न करें कि किसी स्कैन ने VPN प्रोटोकॉल का संकेत दिया। दोनों कार्रवाइयाँ वैध काम बाधित करती हैं, और उस एडमिशन निर्णय को बेहतर नहीं बनातीं जिसने डिवाइस को शुरू में अंदर आने दिया।

स्वीकृति परीक्षण ठोस है: स्वीकृत एंडपॉइंट को उसकी भूमिका के अनुसार आवश्यक एक्सेस अब भी मिलता है, और अस्वीकृत डिवाइस समतुल्य मार्ग नहीं पा सकता। मॉनिटरिंग उस सीमा का समर्थन करती है, और किसी का एन्क्रिप्शन तोड़े बिना भी वह मेहनत के लायक है।